OpenClaw 的 278 个版本里，有 7 个是绕过 CI 从个人机器直发的：缺 SLSA 溯源，还把维护者的本地路径写进了公开元数据
从 npm registry 全量解析 OpenClaw 全部 278 个版本：195 个版本声明 preinstall、222 个声明 postinstall、install 钩子 0 次出现；CI 接管发布后仍有 7 个版本从个人机器直发，100% 缺少 SLSA 溯源证明，并把维护者的本地绝对路径写进了公开元数据。
共 4 篇文章
标签：package.json
timew20
OpenClaw 装过 25 个依赖补丁，5 月 10 日一夜之间全部撤走：13 小时锁定真空与今天的零覆盖状态
h1OpenClaw 装过 25 个依赖补丁，5 月 10 日一夜之间全部撤走：13 小时锁定真空与今天的零覆盖状态h1p两年前主流前端项目还在为 codecode 范围头疼的时候，OpenClaw 在 2026 年 1 月 30 日就干了件更彻底的事：在 codepackagejsoncode
OpenClaw 的体积台账：同一个包，LTS 线比 latest 大 51%，而 126 MiB 的差距里有 107% 来自两处打包决策
解析 openclaw 全部 278 个版本的 registry 元数据并对 6 个版本拉取逐文件清单后发现：更稳的 LTS 线（371.9 MiB）比 latest（245.9 MiB）大 51%，文件数却少 532 个；126 MiB 的净差距由一个模块瘦身 16 倍与 worker 负载压成单个 tar.gz 两处决策解释。
OpenClaw 的模块面账本：346 个 import 子路径、38.4% 已消失、9 次开合，而「更旧的 LTS」反而给你更多入口
逐个解析 npm registry 上 openclaw 全部 278 个版本后发现：346 个 import 子路径里38.4% 已经消失，裸入口在 9 月里开关 8 次，而同一天发布的 LTS 线反而比 latest 多 8 条入口。